| 第 1 节 | 时间线（含检测与响应时延） |
|---|---|
| 第 2 节 | 根因与攻击链 |
| 第 3 节 | 影响与损失口径 |
| 第 4 节 | 改进项：每条有负责人与日期 |
改进项用可验收的句式
改进项用可验收的句式
烂句式：加强安全意识培训
好句式：10 月 30 日前为全部运维账号启用密钥登录，
张三负责，完成后抽查 10 台主机验证（验收命令见附录）检测时延（入侵到发现）与响应时延（发现到处置）是复盘最该量化的两个数。
本包目录（168 条）
应急流程与准备24 条
- 安全事件分级与响应等级判定
- 黄金一小时处置清单
- 易失性数据采集顺序
- 断网还是关机：隔离方式取舍
- 在线排查三条主线：连接、进程、持久化
- 事件时间线记录方法
- 网络层隔离与定向封禁
- 影响范围与横向扩散初判
- 应急响应工具箱（Linux 与 Windows）
- 处置前快照与关键目录备份
- 只读方式挂载镜像与证据盘
- 口令与凭据重置的正确顺序
- 应急小组角色分工与现场纪律
- rkhunter 后门与 rootkit 初筛
- 处置优先级四原则
- busybox 静态工具应急排查
- chkrootkit 常见篡改检查
- 事件复盘报告结构
- 事件通报与升级路径
- 桌面演练（Tabletop）组织要点
- 登录会话与桌面状态记录
- 时间校验与时钟状态记录
- 主机基线信息采集（档案抬头）
- 带外沟通渠道与口令传递
事件复盘报告结构
复盘报告的标准骨架：时间线、根因、影响、处置动作、改进项（负责人加截止日），附对外沟通口径与附件清单。
易错点
- 改进项写成口号：下次事件原样重演
- 只追技术责任不谈流程：真正的缺口被掩盖
数据来源与参考
- NIST SP 800-61 Rev.2 事件后活动
- SANS 事件复盘模板